Commander Flow — Политика конфиденциальности

Версия 1.7 — 17 августа 2026

Этот документ описывает, как Commander Flow («Программа») и её издатель обрабатывают Ваши персональные данные. Основной принцип: Ваш голос и Ваш текст остаются на Вашем устройстве. Всё, что всё-таки покидает устройство, перечислено ниже простым языком, с указанием правового основания обработки.

Перевод предоставлен для удобства. В случае расхождения с английской версией приоритет имеет английский текст.

1. Контролёр данных

Контролёром данных при обработке, описанной в настоящей Политике, является:

Peter's Engineering JDG (Piotr Bahdasaran, индивидуальный предприниматель — przedsiębiorca jednoosobowy) NIP: 9512534689 KEN 19, 02-797 Warszawa, Польша Контакт по вопросам конфиденциальности: inbox@commander-flow.pro

Программа находится ниже порога, при котором статья 37 GDPR требует назначения Data Protection Officer; контролёр обрабатывает запросы по конфиденциальности напрямую через указанный выше email.

2. Что охватывает настоящая Политика

Политика охватывает (а) данные, обрабатываемые локально на Вашем устройстве Программой; (б) данные, отправляемые Программой по сети (загрузка моделей, активация лицензии, анонимная телеметрия жизненного цикла, добровольная диагностика, оплата); (в) данные, которые мы получаем о Вас как покупателе Pro-уровня (лицензионный ключ, платёжный email, метаданные платежа); и (г) данные, обрабатываемые при посещении Вами маркетингового сайта commander-flow.pro (cookies, аналитика — см. §11).

3. Какие данные обрабатываем — и каких НЕ обрабатываем

3.1 Мы НЕ обрабатываем

Ваш надиктованный текст
Ваши аудиозаписи
Сигнал с Вашего микрофона
Содержимое Вашего буфера обмена
Содержимое любых файлов, которые Вы открываете или редактируете
Телеметрию, содержащую Ваш контент — единственная телеметрия — это анонимные пинги жизненного цикла, описанные в §3.2(д); они не содержат ничего из того, что Вы печатаете или говорите, и Вы можете их отключить

Конвейер преобразования голоса в текст работает полностью на устройстве. Аудио захватывается, обрабатывается локальными моделями машинного обучения, преобразуется в текст и удаляется. Ничто из этого не покидает Ваш компьютер.

3.2 Какие данные мы обрабатываем — по целям

(а) Активация лицензии и Pro-сервис. При покупке или активации Pro-лицензии Программа отправляет на наш лицензионный сервер (license.ptrs.ltd):

Ваш лицензионный ключ (выдан нами при покупке);
Ваш email (используется для активации лицензии);
Аппаратный отпечаток (хеш стабильных идентификаторов оборудования Вашего устройства — для привязки лицензии к одной машине и обнаружения её разделения);
Версию Программы.

В ответ мы выдаём подписанный JWT-артефакт доверия, который хранится локально на Вашем устройстве (зашифрованный DPAPI) и периодически переподтверждается.

Правовое основание: исполнение договора (GDPR ст. 6(1)(b)) — необходимо для предоставления Pro-услуги, которую Вы приобрели.

(б) Платежи. Покупки Pro-уровня обрабатывает Stripe Payments Europe, Ltd. («Stripe»). При покупке Stripe собирает данные, необходимые для приёма платежа (карточные данные, платёжный адрес, страна проживания для расчёта НДС). Согласно опубликованным ролям Stripe выступает независимым контролёром данных для целей борьбы с мошенничеством, AML и регуляторной отчётности, и совместным/ обработчик-стиль контролёром в части платёжных инструкций, которые Вы даёте Лицензиару. Лицензиар получает только метаданные платежа, необходимые для выпуска счёта-фактуры и лицензии: email покупателя, страну проживания, сумму платежа, идентификатор клиента Stripe и идентификатор счёта. Собственная политика конфиденциальности Stripe доступна по адресу https://stripe.com/privacy и составляет дополнительное раскрытие в части обработки на стороне Stripe.

Мы не получаем и не храним полные номера карт.

Правовое основание: исполнение договора (GDPR ст. 6(1)(b)) и соблюдение налоговых обязательств (GDPR ст. 6(1)(c) — VAT-OSS Польши).

(в) Диагностические отчёты (по согласию). При возникновении проблемы Вы можете отправить диагностический отчёт через окно «Сообщить о проблеме». Ничего не отправляется, пока Вы не нажмёте кнопку «Отправить». Отчёт содержит: сгенерированный ID отчёта, версию приложения, версию .NET, версию Windows, модель CPU/GPU, активные настройки, последние ~200 строк журнала с замаскированными путями и Ваш необязательный текстовый комментарий. Отчёт не содержит надиктованный текст, аудио, голосовые команды, выделенный текст, содержимое буфера обмена, содержимое файлов, email, логин, лицензионный ключ или иные учётные данные.

Правовое основание: Ваше явное согласие (GDPR ст. 6(1)(a)), выраженное нажатием кнопки «Отправить». Согласие можно отозвать в любой момент, просто перестав отправлять отчёты.

(г) Загрузка моделей. При первом запуске файлы ML-моделей загружаются по HTTPS с commander-flow.pro (публичный CDN-эндпоинт). На уровне сервера логируется только сам запрос (IP-адрес, время запроса, URL); никакая аккаунт-информация с этими запросами не связывается.

Правовое основание: законный интерес (GDPR ст. 6(1)(f)) — доставка Программы, которую Вы установили.

(д) Анонимная телеметрия жизненного цикла. Программа отправляет на наш лицензионный сервер (license.ptrs.ltd) небольшой набор пингов жизненного цикла, чтобы мы могли посчитать установки и увидеть, на каком этапе пробный период теряет пользователей:

События жизненного цикла — один пинг install, один пинг update_applied при смене установленной версии, не более одного пинга startup за 24 часа и один пинг uninstall. Они содержат: случайный идентификатор установки (генерируется локально на Вашем устройстве — не выводится из Вашего оборудования, email или какого-либо аккаунта), версию Программы (плюс предыдущую версию — для обновлений), номер сборки Windows, язык интерфейса приложения и — только пока на машине активна действующая Pro-лицензия — серийный номер Вашего лицензионного токена, чтобы отличать лицензированные установки от пробных (для Pro-пользователей пинг тем самым становится псевдонимным, а не полностью анонимным). Пинг удаления содержит только идентификатор установки, версию и номер сборки Windows.
События воронки — trial_started, trial_expired, nag_shown (было показано напоминание о покупке; не более одного пинга за 24 часа) и pricing_opened_from_app (Вы открыли экран цен/покупки из приложения). Они содержат только идентификатор установки и версию Программы — и ничего больше.

Эти пинги не содержат аудио диктовки, текста, содержимого переписки и имён файлов — ничто из того, что Вы печатаете или говорите, никогда не покидает Ваше устройство. Вы можете в любой момент отключить весь канал переключателем анонимная телеметрия в настройках Программы; пока он выключен, никакие события не отправляются вовсе.

Правовое основание: законный интерес (GDPR ст. 6(1)(f)) — подсчёт установок и конверсии пробного периода, чтобы мы могли поддерживать, улучшать и устойчиво тарифицировать Программу. Вы можете в любой момент возразить против обработки (ст. 21), выключив переключатель, — email не требуется.

(е) Автоматические отчёты о сбоях (все пользователи, opt-out). При возникновении сбоя Программы или внутренней фатальной ошибки она автоматически отправляет диагностический отчёт. Это касается каждой установки — как бесплатной, так и лицензированной — и включено по умолчанию; Вы можете отключить это в любой момент (см. ниже). Этот отчёт имеет ту же структуру содержимого и те же исключения, что и opt-in отчёт «Сообщить о проблеме», описанный в §3.2(в) — содержит ID отчёта, версию приложения, версию .NET, версию Windows, модель CPU/GPU, активные настройки, замаскированные строки журнала и стектрейс исключения. Перед отправкой слой редактирования удаляет пути с именем пользователя Windows и известные пути к папкам профиля пользователя (заменяя их нейтральными заполнителями, такими как %LOCALAPPDATA%), заменяет email-адреса на <email>, а GUID-ы — на <guid>, и отбрасывает любую строку журнала, помеченную Программой как пользовательский контент. Строки, содержащие надиктованный текст, содержимое буфера обмена или сообщения чата, никогда не собираются.

Стабильный хеш верхних кадров стека вычисляется локально, чтобы сервер мог дедуплицировать повторные отчёты об одном и том же сбое, а Программа запоминает, какие сигнатуры она уже отправила, чтобы один повторяющийся сбой не был отправлен дважды. Программа также ограничивает автоматические отчёты 5 на устройство в сутки, чтобы защититься от лавин при циклических сбоях.

Если у Вас есть активная лицензия, мы прикрепляем её JWT-идентификатор (32-символьное непрозрачное значение — не сам лицензионный ключ) к каждому автоматическому отчёту, чтобы разработчик мог сопоставлять кластеры сбоев с конкретными версиями или затронутыми клиентами и связаться для уточнения. Отчёты от установок без лицензии не несут ни идентификатора лицензии, ни какого-либо иного дескриптора аккаунта.

Вы можете отключить автоматические отчёты о сбоях в любой момент с помощью того же флажка «Отправлять анонимную диагностику и отчёты о сбоях» в окне «О программе», упомянутого в §3.2(д) — этот единый элемент управления распространяется и на данный канал. Флажок по умолчанию включён, поскольку оперативная обратная связь по продакшен-сбоям — это то, что позволяет небольшой команде быстро находить и устранять сбои для всех; отключение возвращает Вас к ручному потоку «Сообщить о проблеме».

Мы храним автоматические отчёты о сбоях 30 дней для активной отладки, после чего полная нагрузка удаляется. Агрегированные показатели (число случаев данной сигнатуры стека, в каких версиях) сохраняются 12 месяцев для отслеживания регрессий; агрегированные данные не содержат идентифицирующей информации.

Правовое основание: законный интерес (GDPR ст. 6(1)(f)) — качество программного обеспечения, безопасность и стабильность. Переключатель opt-out, строгое редактирование, короткие сроки хранения и отсутствие пользовательского контента в совокупности удерживают обработку в рамках балансировочного теста законного интереса.

4. Локальные данные на Вашем устройстве

Программа хранит на Вашем устройстве, в каталоге %LOCALAPPDATA%\CommanderFlowApp\ (а пользовательские данные — в %LOCALAPPDATA%\CommanderFlow\):

settings.json — Ваши настройки (язык интерфейса, горячая клавиша, аудиоустройство и т. п.);
models/ — загруженные модели ИИ (~2 ГБ);
logs/ — файлы журнала Serilog с ротацией (хранятся 7 дней; не содержат пользовательский контент — только диагностические события и ошибки);
license.dat — DPAPI-зашифрованный лицензионный артефакт доверия (только при наличии Pro-лицензии).

Удаление Commander Flow убирает бинарные файлы приложения; Вы также можете удалить указанные выше каталоги данных, чтобы убрать настройки, модели и лицензионный артефакт.

5. Субпроцессоры и получатели данных

Следующие стороны обрабатывают персональные данные от Нашего имени или в связи с работой Программы и маркетингового сайта:

Субпроцессор	Роль	Страна	Данные
Stripe Payments Europe, Ltd.	Приём платежей и налоги (Stripe + Stripe Tax)	Ирландия (ЕС)	Карточные данные, платёжный адрес, страна проживания — только при покупке
Time4VPS	Хостинг VPS (`license.ptrs.ltd`, CDN моделей `commander-flow.pro`, почтовый сервер)	Литва (ЕС)	Лицензионный ключ, email, аппаратный отпечаток, логи запросов на загрузку моделей, почтовый трафик
Google Ireland Ltd. (Google Analytics 4)	Анонимная аналитика трафика сайта, только при наличии cookie-согласия	Ирландия (ЕС) с возможной последующей передачей в США в рамках адекватного решения «EU-US Data Privacy Framework»	Псевдонимный идентификатор клиента, URL страницы, реферер, грубая геолокация, метаданные браузера
Google Ireland Ltd. (Google Ads)	Измерение конверсий покупок («enhanced conversions» и серверная отправка конверсий), только при согласии на маркетинговые cookies	Ирландия (ЕС) с возможной последующей передачей в США в рамках адекватного решения «EU-US Data Privacy Framework»	Email покупателя в виде SHA-256-хеша, идентификатор рекламного клика, идентификатор заказа, сумма и валюта — только для покупок с согласием
Google Ireland Ltd. (Google Fonts)	Доставка веб-шрифтов на маркетинговый сайт	Ирландия (ЕС) с возможной последующей передачей в США	IP-адрес браузера (не сохраняется и не сопоставляется с аккаунтом)

Письма активации и другие транзакционные письма отправляются с собственного почтового сервера на домене commander-flow.pro, размещённого на том же VPS, что и лицензионный backend. Внешний email-маркетинг- сервис не используется; третьи лица не получают Ваш email от нас для этой цели.

6. Сроки хранения

Лицензионные записи (ключ, email, отпечаток, метаданные покупки): хранятся в течение срока действия Вашей лицензии плюс 24 месяца после её окончания, после чего удаляются, если хранение не требуется налоговым законодательством (польское налоговое право обычно требует хранения счетов-фактур в течение 5 лет).
Серверные access-логи (CDN моделей, лицензионный сервер): хранятся 30 дней для безопасности и отладки, затем удаляются.
Отправленные Вами диагностические отчёты: хранятся 180 дней для отладки, затем удаляются.
Анонимные диагностические события (install/startup/update/uninstall, §3.2(д)): хранятся 90 дней.
Автоматические отчёты о сбоях (все пользователи, §3.2(е)): полная нагрузка хранится 30 дней; агрегированные счётчики сигнатур стека сохраняются 12 месяцев без идентифицирующих данных.
Журналы Программы на Вашем устройстве: ротация 7 дней, под Вашим полным контролем.

7. Ваши права

Если Вы являетесь субъектом данных в ЕС/ЕЭЗ, Вам предоставлены следующие права согласно GDPR:

Право на доступ (ст. 15) — получить копию Ваших персональных данных, которые мы храним;
Право на исправление (ст. 16) — исправить неточные данные;
Право на удаление (ст. 17) — «право быть забытым»;
Право на ограничение обработки (ст. 18);
Право на переносимость данных (ст. 20) — получить Ваши данные в структурированном машиночитаемом формате;
Право на возражение (ст. 21) — в том числе против обработки на основании законного интереса;
Право отозвать согласие (ст. 7) — для опционных диагностических отчётов;
Право не подвергаться автоматизированному принятию решений (ст. 22) — мы не осуществляем такую обработку.

Для реализации любого из этих прав обращайтесь по адресу inbox@commander-flow.pro. Мы ответим в течение 30 дней.

Вы также вправе подать жалобу в польский надзорный орган по защите данных:

Prezes Urzędu Ochrony Danych Osobowych (UODO) ul. Stawki 2, 00-193 Warszawa, Польша https://uodo.gov.pl +48 22 531 03 00

Если Вы проживаете в другой стране ЕС/ЕЭЗ, Вы также можете подать жалобу в местный надзорный орган.

8. Международные передачи

Вся лицензионная обработка осуществляется в пределах Европейского союза (VPS в Литве, Stripe в Ирландии), а анонимная телеметрия жизненного цикла, описанная в §3.2(д), принимается и хранится на том же литовском VPS. Маркетинговый сайт интегрирует Google Analytics 4, измерение конверсий Google Ads и Google Fonts; при наличии Вашего согласия на аналитику псевдонимные данные взаимодействия — а при Вашем согласии на маркетинговые cookies и совершении покупки также хешированные данные конверсии, описанные в §10, — могут быть переданы Google из Ирландии в США. Эта передача осуществляется на основании EU-US Data Privacy Framework — решения об адекватной защите, принятого Европейской Комиссией 10 июля 2023 года, по которому сертифицирована Google LLC. Иных передач за пределы ЕЭЗ не осуществляется.

9. Безопасность

Трафик к лицензионному серверу шифруется TLS;
Лицензионные артефакты доверия на Вашем устройстве защищены Windows DPAPI, привязанным к Вашей пользовательской учётной записи;
Лицензионный сервер работает на VPS с ограниченным SSH-доступом;
Stripe соответствует стандарту PCI-DSS для всей обработки карточных данных;
Диагностические отчёты подписываются HMAC перед отправкой во избежание изменения в пути.

10. Cookies и веб-аналитика

Маркетинговый сайт commander-flow.pro использует cookies и localStorage Вашего браузера следующим образом:

Строго необходимые (всегда включены, согласие не требуется, изъятие согласно ст. 5(3) Директивы ePrivacy «strictly necessary»): запоминание выбранного Вами языка, хранение Вашего решения по cookie-согласию, скрытие баннера-объявления. Третьи стороны их не читают.
Аналитика — Google Analytics 4 (только с Вашего согласия): псевдонимная статистика трафика. По умолчанию состояние «denied» через Google Consent Mode v2; до согласия GA получает только анонимные пинги без cookies.
Маркетинг — измерение конверсий Google Ads (только с Вашего согласия): используется исключительно для описанного ниже измерения покупок. Если Вы не даёте согласия, эта категория остаётся выключенной, и никакие данные не отправляются Google в рекламных целях.

Измерение покупок («enhanced conversions»). Когда на нашем сайте завершается покупка и Вы дали согласие на маркетинговые cookies, мы сообщаем об этой единичной конверсии Google, чтобы можно было измерить эффективность нашей рекламы:

Ваш email, указанный при оплате, передаётся в интерфейс пользовательских данных gtag Google, который хеширует его (SHA-256) перед отправкой — Google получает хеш и никогда не получает адрес в открытом виде;
мы можем дополнительно сообщить о покупке в Google Ads на серверной стороне: идентификатор клика по объявлению, которое привело Вас на сайт, идентификатор заказа и уплаченную сумму (с валютой). Эта серверная отправка соблюдает тот же выбор cookie-согласия, который Вы сделали в баннере.

Без Вашего маркетингового согласия никакие данные о покупке не отправляются Google вовсе.

Правовое основание: Ваше согласие (GDPR ст. 6(1)(a)), данное в баннере согласия; его можно отозвать в любой момент через ссылку «Настройки cookies» в подвале сайта.

Вы можете в любой момент пересмотреть и изменить эти настройки через ссылку «Настройки cookies» в подвале сайта, которая снова открывает баннер согласия. Отзыв согласия так же прост, как его предоставление.

11. Дети

Commander Flow — это инструмент производительности для взрослых пользователей; Программа не ориентирована на детей. Мы не осуществляем сознательный сбор персональных данных детей, не достигших возраста цифрового согласия, применимого в их юрисдикции (базовый стандарт GDPR — 16 лет; некоторые государства-члены ЕС/ЕЭЗ снизили этот порог до 13). Если Вы полагаете, что ребёнок младше указанного возраста передал нам персональные данные, обратитесь по адресу inbox@commander-flow.pro, и мы удалим эти данные без неоправданной задержки.

12. Изменения настоящей Политики

Если настоящая Политика существенно меняется, следующая версия Программы отображает обновлённый текст и требует Вашего согласия перед запуском. Версия и дата документа указаны в его шапке и обновляются при каждом изменении.

13. Контакты

Email: inbox@commander-flow.pro
Почтовый адрес: Peter's Engineering JDG, KEN 19, 02-797 Warszawa, Польша
Сайт: https://commander-flow.pro